开发环境下如何进行安全加固呢


由于公司机房和办公环境是在一起的,默认情况下公司出口IP是禁止80/443访问【运营商侧有限制】。目前采用的是阿里云进行中转,即将开发环境的域名解析到阿里云,然后通过Nginx反向代理到公司出口非80端口。开发环境部分接口涉及到第三方回调和校验,所以完全禁止开发环境对外网访问不现实。

目前合理的需求如下:

  1. 公司网络地址段可以访问开发环境不受限制
  2. 允许部分第三方IP地址段加入白名单
  3. 若第三方IP不固定,需支持第三方回调的URL加入白名单
  4. 不在上述条件内全部禁止外网访问。

面对上述简单的需求场景,我们如何实现呢?

方案一:采用防火墙白名单策略进行实现,目前看只能实现 1 和 2 的条件

方案二:采用Nginx的allow、deny等策略,目前看也只能实现 1 和 2 的条件

方案三:采用Nginx+Lua 通过access_by_lua_file策略,目前看能实现上述所有条件而且实现起来比较简单,改造成本较小。

  1. 在Nginx的server层配置:access_by_lua_file 'scripts/filter_white.lua'
  2. filter_white.lua 脚本配置信息:
  1. root@develop:/usr/local/nginx/scripts# cat filter_white.lua
  2. -- 默认配置
  3. local redis = require 'resty.redis'
  4. local allow = false
  5. -- 连接Redis
  6. local red = redis:new()
  7. local ok, err = red:connect('172.17.173.183', 26379)
  8. if not ok then
  9. ngx.log(ngx.ERR, 'connect to redis failed: ' .. err)
  10. end
  11. local res, err = red:auth('Huajianghu@123')
  12. if not res then
  13. ngx.log(ngx.ERR, 'failed to authenticate: ' .. err)
  14. end
  15. -- 过滤精确IP
  16. --if red:sismember('white:dev:ip', ngx.var.remote_addr) == 1 then
  17. -- allow = true
  18. --end
  19. -- 过滤IP地址段
  20. local iputils = require("resty.iputils")
  21. iputils.enable_lrucache()
  22. local white_ips =red:smembers('white:dev:ip')
  23. local whitelist = iputils.parse_cidrs(white_ips)
  24. if iputils.ip_in_cidrs(ngx.var.remote_addr, whitelist) then
  25. allow = true
  26. end
  27. -- 过滤URL
  28. if not allow then
  29. local url = ngx.var.http_host .. ngx.var.uri
  30. local white_urls = red:smembers('white:dev:url')
  31. for index, white_url in ipairs(white_urls) do
  32. if url:match(white_url) then
  33. allow = true
  34. break
  35. end
  36. end
  37. end
  38. -- 默认策略
  39. if not allow then
  40. ngx.log(ngx.ERR, "not allow: " .. ngx.var.http_host .. ngx.var.uri)
  41. ngx.status = ngx.HTTP_FORBIDDEN
  42. ngx.say('请申请白名单')
  43. ngx.exit(200)
  44. end

3.此脚本仅供参考使用,特殊场景需要进行修改lua脚本

低成本防御网站 DDOS 攻击

前言传统的 DDOS 防御通常使用“硬抗”的方式,导致开销很大,而且有时效果并不好。例如使用 DNS 切换故障 IP 的方案,由于域名会受到缓存等因素的影响通常有分钟级延时,前端难以快速生效。例如使用 CDN 服务,虽可抵挡大多网络层攻击,但对应用层攻击却常有...
服务器安全DDos攻击DDosddos防御

担心服务器中毒?三招教你如何避免“黑客”攻击

服务器在互联网运转中为使用者提供计算或应用服务,企业的业务流程基本上都是在服务器上进行,大批量的数据信息都会存储在此,若是服务器在黑客的入侵下中毒,后果将不堪设想。想要避免黑客的入侵,我们可以从下面三个角度来进一步提高服务器的安全性。进一步提高密码的设置我们在...
服务器攻击服务器安全黑客中毒

服务器管理误区 网络服务器安全维护技巧

虽然开启日志服务虽然说对阻止黑客的入侵并没有直接的作用,但是通过他记录黑客的行踪,我们可以分析入侵者在我们的系统上到底做过什么手脚,给我们的系统到底造成了哪些破坏及隐患,黑客到底在我们的系统上留了什么样的后门,我们的服务器到底还存在哪些安全漏洞等等。服务器管理...
网络服务器服务器安全服务器管理服务器维护

Sentry 企业级数据安全解决方案 - Relay 运行模式

Relay 可以在几种主要模式之一下运行,如果您正在配置 Relay server 而不是使用默认设置,那么事先了解这些模式至关重要。模式存储在配置文件中,该文件包含 relay.mode 字段。此字段指定 Relay 运行的模式:managed、static...
服务器安全数据安全SentryRelay